Ernstige kwetsbaarheden in PHP: bereid je voor op patchen

Er zijn twee kritieke kwetsbaarheden gevonden, CVE-2026-109618 en CVE-2026-109619, in PHP: Hypertext Preprocessor. Deze kwetsbaarheden zijn vermoedelijk aanwezig in alle huidige versies van PHP, maar in ieder geval vanaf versie 5. Deze kwetsbaarheden maken het mogelijk voor kwaadwillenden om op afstand een remote code execution (RCE) uit te voeren.

Het gevolg daarvan kan zijn dat de (web)servers overgenomen kunnen worden en websites niet meer toegankelijk zijn, gegevens worden gelekt of dat bepaalde functionaliteiten zoals inloggen niet meer mogelijk is. Er is een publieke Proof of Concept (PoC)- code beschikbaar, maar het NCSC heeft nog geen actief misbruik gesignaleerd.

Wel adviseert het NCSC nadrukkelijk om alvast voorbereidingen te treffen op een komende patch op 21 oktober 16:00 Nederlandse tijd. Dit tijdstip kan eventueel worden vervroegd. Verdere details worden tijdens de release van de patch bekend gemaakt.